ビジネスメールのSPF・DKIM・DMARC設定方法

見積書、請求書、営業メールが迷惑メールに入るなら、件名を書き直す前にDNSを確認してください。メールプロバイダーがメッセージを信頼するかどうかは、主に、そのドメインが「自分が送った」ことを証明できるかで決まります。その証明を担うのが3つのレコードで、企業のドメインには少なくとも1つ欠けているものが少なくありません。

2024年2月から、Gmail と Yahoo は、ユーザー宛に1日5,000通を超えて送る送信者にSPF、DKIM、DMARCを求め、迷惑メール報告率を0.3%未満に保つことも求めています。MicrosoftのOutlook.com、Hotmail、Liveのメールボックスも、2025年5月に大量送信者向けの同様のルールを加えました。あなたの送信量は1日5,000通よりはるかに少ないかもしれません。それでも実際には、認証のない小規模な送信者から先にフィルタされるため、この確認は無関係ではありません。

作業は1時間ほどです。コードを書く必要はありません。ドメインのDNSがある場所と、メールプロバイダーの管理コンソールにアクセスできれば足ります。

Table of contents

Open Table of contents

• 各レコードの役割
• ステップ1：自社ドメインで送信しているものをすべて洗い出す
• ステップ2：現状を確認する
• ステップ3：SPFレコードを1つ公開する
• ステップ4：送信元ごとにDKIMを有効にする
• ステップ5：p=noneでDMARCを追加し、レポートを読む
• ステップ6：強制へ移行する
• ClaudeやChatGPTに任せる
• 検証して健全に保つ

各レコードの役割

1. SPF は、自社ドメインでメールを送ってよいサービスの一覧を、DNSに公開したものです。受信側サーバーは、送信元サーバーをこの一覧と照合します。
2. DKIM は、メールプロバイダーがすべてのメッセージに付ける署名です。対応する公開鍵がDNSにあるため、受信側はメッセージが改ざんされておらず、確かにそのプロバイダーを経由したと確認できます。
3. DMARC は、自社ドメインでSPFとDKIMが失敗したときの扱いと、レポートの送り先を受信側に伝えます。また、認証されたドメインが、見える差出人アドレスと一致することも求めます。

DMARCがなければ、SPFとDKIMはあくまで参考情報です。DMARCがあれば、あなたの名前でメールを送っている主体のレポートが届き、忘れていた送信元も分かります。

ステップ1：自社ドメインで送信しているものをすべて洗い出す

多くの人が飛ばし、そのせいで後から自分のメールを壊すのがこの手順です。自社ドメインから送信しているものをすべて書き出してください。

• メールボックス（Microsoft 365、Google Workspace、またはGoDaddyが用意したもの）
• メールマーケティングのプラットフォーム
• CRMと請求ツール
• サイトのフォームとWordPressのトランザクションメール
• ヘルプデスクと予約ツール

GoDaddy経由でMicrosoft 365のメールボックスを使っている場合は、GoDaddyメールのログインが今どうなっているかの解説で、管理画面がMicrosoftのポータルにある理由を説明しています。DKIMはそこで有効にします。

ステップ2：現状を確認する

MXToolbox、Google Admin ToolboxのCheck MX、dmarcianのDMARCチェッカーなどの無料ツールを開き、ドメインを入力します。次の3点を控えてください。

• v=spf1 で始まるTXTレコードがちょうど1つありますか。2つあるのはバックアップではなく失敗です。
• プロバイダーはDKIMを署名中として表示していますか。
• _dmarc.あなたのドメイン.com にTXTレコードはありますか。

さらに確実なのは、業務用アドレスからGmailアカウントにテストメールを送り、開いて「元のメッセージを表示」を選び、上部のSPF、DKIM、DMARCの行を読むことです。どれもPASSになっているはずです。

ステップ3：SPFレコードを1つ公開する

ドメインのルートにTXTレコードを1つ追加します。送信元を include: で並べ、最後にポリシーを置きます。

よく使うinclude：

• Microsoft 365：include:spf.protection.outlook.com
• Google Workspace：include:_spf.google.com
• メールマーケティングのプラットフォームとCRMは、それぞれ自社のinclude値をヘルプ文書で公開しています。ブログ記事ではなく、そこからコピーしてください。この記事も例外ではありません。

典型的な結果は v=spf1 include:spf.protection.outlook.com include:あなたのESPの値 ~all のようになります。

SPFの失敗の大半は2つのルールで説明できます。1つ目は、ドメインにつきレコードは1つということです。新しい送信元は2つ目のレコードを作らず、既存の行に統合します。2つ目は、SPFのDNSルックアップは合計10回までで、入れ子になったものも含めすべての include: が数えられることです。10回を超えると、受信側はSPFを恒久的なエラーとして扱います。上限に近いなら、追加する前に使っていないサービスを外してください。

送信元をまだ見つけている間は ~all（ソフトフェイル）を使い、DMARCレポートがきれいになったら -all を検討します。

ステップ4：送信元ごとにDKIMを有効にする

DKIMは各送信サービスの中で設定し、その後DNSに公開します。

• Microsoft 365： Microsoft Defenderポータルのメール認証の下でDKIM設定を開き、ドメインを選んで署名を有効にします。先にDNSへ追加する2つのCNAMEレコード（selector1._domainkey と selector2._domainkey）が示されます。反映されるまで有効化は失敗し、数時間かかることがあります。
• Google Workspace： 管理コンソールのGmail認証でドメインの鍵を生成し、表示されたTXTレコードを公開して「認証を開始」をクリックします。
• それ以外すべて： メールマーケティングのプラットフォーム、CRM、請求ツールには「ドメイン認証」や「送信ドメイン」の画面があり、DNSに貼り付けるレコードが示されます。

メールボックスだけでなく、洗い出したすべての送信元でこれを行ってください。自社ドメインではなく自社独自のドメインで署名するマーケティングプラットフォームは、DKIMには通っても、DMARCのアライメントで失敗します。

ステップ5：p=noneでDMARCを追加し、レポートを読む

次の値で _dmarc というTXTレコードを作ります。

v=DMARC1; p=none; rua=mailto:dmarc-reports@あなたのドメイン.com

p=none は配信に何も影響しません。レポートを開始するだけです。生のDMARCレポートは誰も読まないXMLファイルなので、rua は無料のレポートサービスに向けてください。DMARC監視ベンダーのいくつかは無料プランを用意しており、XMLを成功数と失敗数付きの送信元一覧にしてくれます。

p=none のまま2〜4週間置きます。古い請求ツールや忘れていたフォームプラグインなど、失敗している正当な送信元を探し、SPFに追加するかDKIMを有効にして1つずつ直します。

ステップ6：強制へ移行する

本物の送信元がすべて通るようになったら：

1. p=quarantine; pct=25 に変更し、失敗したメッセージの4分の1を迷惑メールに回します。1週間様子を見ます。
2. pct を100に上げます。
3. p=reject に進めます。

rejectまで進めると、第三者があなたのドメインを騙って顧客にフィッシングメールを送ることを防げます。これは到達率と同じくらい、あなたの名前を守ります。

ClaudeやChatGPTに任せる

自分の情報を入れて、どちらかに貼り付けてください。各プロバイダーのヘルプを読む手間が省けます。

ドメイン [あなたのドメイン.com] のメールを管理しています。メールボックスは [Microsoft 365 / Google Workspace] にあります。ほかに [マーケティングプラットフォーム、CRM、請求ツール、サイトのフォームを列挙] からも送信しています。次を教えてください。(1) 1行に統合して公開すべき正確なSPFのTXTレコード、(2) 各サービスの管理画面でのDKIM設定手順、(3) ruaレポート付きのDMARC初期レコード、(4) 4段階でp=rejectに到達する計画。あなたを信用せず各ベンダーのドキュメントからコピーすべき値はどれかを示し、SPFレコードのDNSルックアップ回数を数えてください。

出力された内容を公開する前に、include: の値を各ベンダーの最新のヘルプページで確認してください。モデルはもっともらしいincludeホストを作り出すことがあり、誤った値は気づかないうちに失敗します。

検証して健全に保つ

DNSが反映されたら、メールボックスだけでなくすべての送信元から、Gmailの「元のメッセージを表示」のテストを繰り返します。CRM、請求ツール、サイトのフォームから送信してください。どのメッセージもSPF、DKIM、DMARCがPASSになるはずです。

その後、カレンダーに四半期ごとの繰り返しリマインダーを入れ、DMARCレポートを確認します。自社ドメインで顧客にメールを送る新しいツールを導入するたびに、その日のうちに認証してください。リストを作ったりニュースレターを送ったりしているなら、送信側についてはメールリストの作り方で、設定中にドメイン認証へ案内してくれるプラットフォームについては小規模ビジネス向けのおすすめメールマーケティングサービスで取り上げています。